Starke Identität und Sicherheit von IoT Geräten

Größe: px

Ab Seite anzeigen:

Download "Starke Identität und Sicherheit von IoT Geräten"

Ilse Diefenbach
vor 5 Jahren
Abrufe

1 Starke Identität und Sicherheit von IoT Geräten Information Security in Healthcare, 7. Juni 2018, Rotkreuz Prof. Dr. Andreas Steffen Institute for Networked Solutions HSR Hochschule für Technik Rapperswil

2 HSR - Hochschule für Technik Rapperswil Steffen, , IoT Security.pptx 2

3 Internet of Things (IoT) Steffen, , IoT Security.pptx 3

4 Angriffe auf IoT Geräte und Netzwerke Überwachung der Netzwerkkommunikation Abhilfe: Verschlüsselung der Kommunikation (z.b. via SSL/TLS, IPsec) Gezielte Manipulation der Netwerkkommunikation Abhilfe: Datenintegrität der Kommunikation (z.b. via SSL/TLS, IPsec) Einschleusen von fremden, potentiell bösartigen IoT Geräten Abhilfe: Starke Geräte-Identität (X.509 Zertifikate, Device Secrets) Unterwanderung eigener IoT Geräte durch Malware Abhilfe: Überprüfen des Gesundheitszustands (Attestation) Steffen, , IoT Security.pptx 4

5 Kritische IoT Anwendungen Erzeugung und Verteilung von Energie (Energy Grid) Totalausfall führt innert Tagen zum Zerfall unserer Zivilisation (Blackout) Transportwesen Angriffe auf autonome Fahrzeuge (Lastwagen und Personenwagen) Flugzeugindustrie Einbau von Kill-Switches bei der Flugzeug-Fertigung (Boeing, Airbus) Prozesssteuerung Sabotage von Produktionsprozessen (z.b. Stuxnet im Iran) Gebäudeautomatisation Erpressung via Übernahme von Sensoren und Steuerungen HealthTech Angriffe auf Herzschrittmacher, Insulinpumpen und weitere medizinische IoT Geräte Steffen, , IoT Security.pptx 5

6 Starke Identität und Sicherheit von IoT Geräten Information Security in Healthcare, 7. Juni 2018, Rotkreuz Starke HW-Identität und Attestation via Trusted Platform Modul (TPM)

7 Trusted Network Connect (TNC) Architektur IoT Gerät OS Info Collector Port Scan Collector Software Version Collector OS Integrity Collector Gesundheits- Messungen IoT Server OS Info Verifier Port Scan Verifier Software Version Verifier OS Integrity Verifier TNC Client Management TNC Server IPsec/TLS Client Transport IPsec/TLS Server Steffen, , IoT Security.pptx 7

8 IETF Network Endpoint Assessment (NEA) TNC Messdaten [IMV] operating system name is 'Android' from vendor Google [IMV] operating system version is '4.2.1 [IMV] device ID is cf5e4cbcc6e6a2db TNC Mess-Protokoll PA-TNC (RFC 5792) [TNC] handling PB-PA message type 'IETF/Operating System' 0x000000/0x [IMV] IMV 1 "OS" received message for Connection ID 1 from IMC 1 [TNC] processing PA-TNC message with ID 0xec41ce1d [TNC] processing PA-TNC attribute type 'IETF/Product Information' 0x000000/0x [TNC] processing PA-TNC attribute type 'IETF/String Version' 0x000000/0x [TNC} processing PA-TNC attribute type 'ITA-HSR/Device ID' 0x00902a/0x TNC Client-Server-Protokoll PB-TNC (RFC 5793) [TNC] received TNCCS batch (160 bytes) for Connection ID 1 [TNC] PB-TNC state transition from 'Init' to 'Server Working' [TNC] processing PB-TNC CDATA batch [TNC] processing PB-Language-Preference message (31 bytes) [TNC] processing PB-PA message (121 bytes) [TNC] setting language preference to 'en TNC Transport-Protokoll PT-TLS (RFC 6876), PT-EAP (RFC 7171) [NET] received packet: from [50871] to [4500] (320 bytes) [ENC] parsed IKE_AUTH request 8 [ EAP/RES/TTLS ] [IKE] received tunneled EAP-TTLS AVP [EAP/RES/PT] Steffen, , IoT Security.pptx 8

Verifier Software Version Verifier OS Integrity Verifier TNC Client Management TNC Server

9 Problem des lügenden Endpunkts IoT Gerät OS Info Collector Port Scan Collector Software Version Collector OS Integrity Collector Gesundheits- Messungen IoT Server OS Info Verifier Port Scan Verifier Software Version Verifier OS Integrity Verifier TNC Client Management TNC Server IPsec/TLS Client Transport IPsec/TLS Server TPM Lügender Endpunkt Steffen, , IoT Security.pptx 9

10 Trusted Platform Module (TPM) Die meisten PCs haben ein TPM 2.0! Microsoft verlangt ein TPM 2.0 für Windows 10. TPM Chip Hersteller: Infineon, Nuvoton, STMicroelectronics. Intel Core Prozessoren enthalten seit der vierten Generation (Haswell) ein Firmware TPM 2.0 (Platform Trust Technology - PTT). TPM 2.0 Firmware läuft auch in der TrustZone eines ARM Prozessors. Features Sichere Speicherung von privaten Schlüsseln und dazugehörigen X.509 Zertifikaten, die für eine starke Geräte-Identifikation verwendet werden können. Vertrauenswürdiges Messen von Systemdateien über SHA256 Hashwerte, die durch das TPM in Platform Configuration Register (PCR) akkumuliert und mit einem Attestation-Schlüssel signiert werden. Steffen, , IoT Security.pptx 10

11 RSA Security Conference 2015, San Francisco TPM Cisco 1120 Connected Grid Router mit strongswan Mutual Attestation auf einem Linux Gast-OS. Steffen, , IoT Security.pptx 11

12 strongtnc Security Automation - Referenzwerte Steffen, , IoT Security.pptx 12

13 Software Management mit SWID Tags ISO/IEC :2015 Software Asset Management Part 2: Software Identification Tag <SoftwareIdentity xmlns= xmlns:sha256=" xmlns:n8060=" name="libssl1.0.0" tagid="debian_8.0-x86_64-libssl t-1~deb8u8 version="1.0.1t-1+deb8u8" versionscheme="alphanumeric"> <Entity name="strongswan Project" regid="strongswan.org role="tagcreator"/> <Meta product="debian 8.0 x86_64"/> <Payload> <Directory name="x86_64-linux-gnu" root="/usr/lib"> <File SHA256:hash="4de8f d3ac5e836d0c60c8cf63c6e3bab20b5c8c385a8ea20774cc26d6 name="libcrypto.so.1.0.0" size=" "/> <File SHA256:hash="79f8dc203a5b81fe04c8bd37fa10dc92ee6cc92ae3f6cda fc2aa907c4 name="libssl.so.1.0.0" size="395176"/> </Directory> <Directory name="engines" root="/usr/lib/x86_64-linux-gnu/openssl-1.0.0"> <File SHA256:hash=" c4350e742c130187c62c93e0d096e4fd8c124e0a98cdd52416e42ddb2 name="lib4758cca.so" size="19512"/>... <File SHA256:hash="a97cc3c75e2f59373b90ab1a431821bc94b755eba6643bdad59a d03 name="libubsec.so" size="19784"/> </Directory>... </Payload> </SoftwareIdentity> Steffen, , IoT Security.pptx 13

14 strongtnc Security Automation - Schwachstellen Demonstriert am IETF Prag Hackathon im Juli 2017 auf Bitte von NIST und NSA Steffen, , IoT Security.pptx 14

Low Power Single Chip IoT Devices Cortex M0+ MCU & IEEE 802.15.

15 Low Power Single Chip IoT Devices Cortex M0+ MCU & IEEE Transceiver in a single package 256 KB flash / 32KB RAM, 8 KB Low Power Mode retained RAM Ultra-low power consumption: 700 na typical with RTC Hardware AES Crypto Accelerators, True Random Number Generator Price: 3.50 EUR Steffen, , IoT Security.pptx 15

16 Starke Identität und Sicherheit von IoT Geräten Information Security in Healthcare, 7. Juni 2018, Rotkreuz Starke HW-Identität und Attestation via RIoT (Robust IoT)

RIoT (Robust IoT) von Microsoft Research* D 1 = Hash(L 1 ) K 1 = KDF(Device Secret, D 1 ) D 2 = Hash(L 2 ) K 2 = KDF(Device Secret, D 2 ) Device Secret: 256 512 Bit unlöschbarer, zufällig generierter

17 RIoT (Robust IoT) von Microsoft Research* D 1 = Hash(L 1 ) K 1 = KDF(Device Secret, D 1 ) D 2 = Hash(L 2 ) K 2 = KDF(Device Secret, D 2 ) Device Secret: Bit unlöschbarer, zufällig generierter Geräteschlüssel, der nur durch die ROM Bootstufe L 0 lesbar ist. Hash Function: z.b. SHA256 Key Derivation Function (KDF): z.b. HMAC-SHA256 * Steffen, , IoT Security.pptx 17

Einfache RIoT-basierte Attestation Kann auf Low Power IoT Devices realisiert werden (Hash/HMAC) Device Secrets werden auf einem zentralen Server gespeichert Single-Point of Attack Kann

18 Einfache RIoT-basierte Attestation Kann auf Low Power IoT Devices realisiert werden (Hash/HMAC) Device Secrets werden auf einem zentralen Server gespeichert Single-Point of Attack Kann alle Device Secrets kompromittieren Falls die Rechner-Ressourcen ausreichen, sind aus dem Device Secret abgeleitete Public Keys (RSA/ECDSA) möglich. Steffen, , IoT Security.pptx 18

verfügbar für ausgewählte STMicroelectronics IoT Plattformen ab Herbst 2018 Modulare

19 Zusammenfassung TPM-basierte HW-Identität und Attestation verfügbar mit strongswan/strongtnc Open Source Software RIoT-basierte HW-Identität und Attestation verfügbar für ausgewählte STMicroelectronics IoT Plattformen ab Herbst 2018 Modulare Erweiterung auf weitere IoT Plattformen geplant Fragen? Steffen, , IoT Security.pptx 19

Ähnliche Dokumente

Starke Identität und Sicherheit von IoT Geräten

Starke Identität und Sicherheit von IoT Geräten Innovationstagung vom 16. März 2018 Prof. Dr. Andreas Steffen Institute for Networked Solutions HSR Hochschule für Technik Rapperswil Internet of Things